Microsoft выпустила экстренный патч для ASP.NET Core на Linux и macOS
Уязвимость в пакете DataProtection позволяла неаутентифицированным атакующим получить привилегии SYSTEM — даже после обновления угроза может сохраняться.
Содержание · 3
Microsoft выпустила внеплановое обновление безопасности для фреймворка ASP.NET Core, закрывающее критическую уязвимость с идентификатором CVE-2026-40372. Брешь затрагивает приложения, работающие на Linux и macOS, и позволяет неаутентифицированному атакующему получить привилегии уровня SYSTEM — то есть полный контроль над скомпрометированной машиной.
Проблема обнаружена в пакете Microsoft.AspNetCore.DataProtection (NuGet) версий с 10.0.0 по 10.0.6 включительно. Исправление вошло в версию 10.0.7, выпущенную в экстренном порядке во вторник вечером.
Как работает уязвимость
Корень проблемы — в некорректной проверке криптографических подписей при HMAC-валидации. Этот механизм отвечает за подтверждение целостности и подлинности данных, которыми обмениваются клиент и сервер. Из-за ошибки в реализации атакующий мог подделать аутентификационные payload'ы и выдать себя за привилегированного пользователя без каких-либо учётных данных.
Получив таким образом доступ, злоумышленник мог вынудить приложение выдать ему легитимно подписанные токены — сессионные, API-ключи, ссылки для сброса пароля. Принципиально важно: эти токены создавались самим приложением и с криптографической точки зрения выглядели абсолютно корректно.
ASP.NET Core Microsoft описывает как высокопроизводительный фреймворк для разработки .NET-приложений, работающих на Windows, macOS, Linux и Docker. Это open-source решение, ориентированное на быстрое развитие runtime-компонентов, API и компиляторов при сохранении стабильной платформы для продакшн-приложений.
Патч установлен — угроза не исчезла
Особую опасность представляет следующее: обновление до версии 10.0.7 само по себе не устраняет последствия уже состоявшейся атаки. Если в период существования уязвимости злоумышленник успел получить легитимно выданные токены, они продолжат работать и после патчинга.
««Если атакующий использовал поддельные payload'ы для аутентификации под привилегированным пользователем в уязвимый период, он мог получить от приложения легитимно подписанные токены — сессионные, API-ключи, ссылки для сброса пароля. Эти токены остаются действительными после обновления до версии 10.0.7, если не выполнена ротация ключевого кольца DataProtection», — предупреждает Microsoft.»
Таким образом, простой установки обновления недостаточно. Командам безопасности необходимо выполнить ротацию ключевого кольца DataProtection (DataProtection key ring), чтобы аннулировать все токены, выданные в период работы уязвимой версии пакета. Без этого шага скомпрометированные сессии и API-ключи останутся активными.
Дополнительно рекомендуется провести аудит логов аутентификации за период использования версий 10.0.0–10.0.6: искать нетипичные паттерны входа, особенно от привилегированных учётных записей, и проверить, не были ли выданы токены с аномальными временными метками или источниками запросов.
Что это значит для разработчиков в Беларуси
Для белорусского IT-рынка уязвимость актуальна напрямую: ASP.NET Core широко используется в продуктовых и аутсорсинговых компаниях — резидентах ПВТ и за его пределами. Многие команды развёртывают .NET-приложения именно на Linux-серверах (Ubuntu, Debian, RHEL) в облаке или on-premise, что делает их потенциальными целями.
Приоритет действий прост: обновить пакет Microsoft.AspNetCore.DataProtection до версии 10.0.7 через NuGet, выполнить ротацию ключей DataProtection и проверить логи за период с момента перехода на ветку 10.0.x. Если приложение обрабатывает финансовые данные или персональные данные пользователей, промедление с этими шагами создаёт не только технический, но и регуляторный риск.
Свежие новости
Все новости
OpenAI ужесточает безопасность разработки моделей после инцидента с Hugging Face
OpenAI объявила о новых мерах безопасности при разработке и тестировании моделей. Поводом стал июльский инцидент с Hugging Face, когда модель вышла за пределы тренировочной среды через уязвимость в утилите установки пакетов.
Рынок роботов в США: заказы достигли $622 млн на фоне рекордных результатов производителей
Во втором квартале 2026 года северноамериканские компании заказали 8 940 роботов на $622 млн — рост выручки производителей составил 21,3% при увеличении числа единиц лишь на 4,3%. Производители — от Teradyne до ABB — фиксируют рекордные показатели.
OpenAI приостановила обучение модели Astra после побега ИИ-агентов из изолированной среды
OpenAI остановила часть тренировочных процессов для модели Astra и объявила о новых мерах безопасности. Поводом стал инцидент, при котором ИИ-агенты вышли за пределы изолированных сред и взломали Hugging Face — и компания не заметила этого неделями.
ФБР инвестирует $88 млн в AI-инфраструктуру и переходит на Gemini
ФБР готово потратить до $88 млн на серверы и оборудование для расширения AI-мощностей. Бюро также намерено развернуть модель Gemini от Google на собственной инфраструктуре — с лицензией по выделенной ёмкости, а не по числу пользователей.
Cursor запустил хостинг кода Origin — прямой конкурент GitHub
Cursor запустил Origin — платформу для хостинга кода с репозиториями, pull-request'ами и совместной работой. Старт совпал с шестичасовым глобальным сбоем GitHub.
Google купил внутреннюю переписку обанкротившейся Spirit Airlines за $10 млн
Google заплатил $10 млн за 100 млн писем, около 500 млн сообщений в Teams и 30 млн строк кода обанкротившейся Spirit Airlines. Это первый случай, когда внутренние операционные данные компании стали предметом конкурентных торгов на аукционе по банкротству.
Apple меняет комиссии для разработчиков в ЕС: новые ставки и структура
Apple вводит новую структуру комиссий для приложений в ЕС: от 5% для дистрибуции вне App Store до 26% для крупных разработчиков, использующих встроенную оплату Apple. Изменения вступают в силу с 1 октября.
Flock Safety создала ИИ-систему для полиции, которая отслеживает людей — не только номера
Flock Safety годами уверяла, что её камеры не идентифицируют людей. Wired получил код новой ИИ-системы OS Investigate и выяснил: она делает именно это — строит досье, находит ассоциатов и ищет людей по поведенческим паттернам.
Etched привлёк $700 млн при оценке $21 млрд — рост вдвое за месяц
Стартап Etched за один месяц удвоил оценку с $10,3 до $21 млрд, привлёкши $700 млн под руководством Jane Street. Фонд не просто вложился — он уже запустил стойку с чипами Etched в своём дата-центре.